Il breach di Onamae.com Desktop Cloud mette a rischio gli accessi FX
Il breach di Onamae.com Desktop Cloud ha messo a rischio le credenziali per il trading sul mercato dei cambi dopo il rilevamento di programmi dannosi su alcuni server dei clienti. Il servizio ospitato nel cloud fornisce desktop Windows remoti utilizzati per il trading FX, cioè sul mercato dei cambi. GMO Internet, la controllata che gestisce il servizio, ha rilevato i programmi il 20 ottobre e, dal 21 ottobre, ha disattivato i server di tutti i piani. Indica 26.739 server come potenzialmente interessati, ma questa cifra non rappresenta compromissioni o furti di dati confermati.
Il 24 ottobre GMO ha dichiarato di aver verificato un problema di sicurezza nel servizio, un accesso non autorizzato e la sottrazione di informazioni dei clienti dai sistemi aziendali. Potrebbe essere stato visualizzato qualsiasi contenuto archiviato dai clienti sui loro desktop remoti, comprese le credenziali salvate in MetaTrader 4 e 5 (MT4/MT5), applicazioni di trading ampiamente utilizzate. Le informazioni sulle carte di pagamento non erano conservate su quei server. Al 28 ottobre, l'azienda non aveva reso noto il metodo di accesso usato dagli aggressori.
Il 21 ottobre i clienti hanno iniziato a segnalare operazioni che non riconoscevano. OANDA Japan ha confermato che una parte non autorizzata aveva effettuato l'accesso e operato attraverso alcuni account dei clienti utilizzando combinazioni di ID e password che, secondo il broker, provenivano dai server coinvolti nel breach. Ha limitato il trading sugli account potenzialmente interessati. Al 26 ottobre, OANDA Japan non aveva rilevato intrusioni o fughe di informazioni nei propri sistemi principali.
FXTF ha pubblicato un avviso collegato il 22 ottobre. Ha dichiarato che le credenziali di alcuni clienti che utilizzano virtual private server, o sistemi VPS che forniscono computer remoti ospitati altrove, potrebbero essere state rubate durante un attacco all'infrastruttura di un'altra azienda. Le credenziali potrebbero poi essere state utilizzate per accedere agli account ed effettuare operazioni. FXTF ha consigliato ai clienti che si erano collegati tramite Desktop Cloud di cambiare le password da un dispositivo che non avesse mai effettuato l'accesso al servizio.
Il 21 ottobre gli aggressori hanno richiesto circa 50 milioni di dollari, descritti come approssimativamente 8 miliardi di yen. GMO si è rifiutata di pagare. Secondo l'azienda, il gruppo ha minacciato di interferire con gli account dei clienti presso oltre 70 società di intermediazione mobiliare e FX, divulgare informazioni sul servizio e sui PC dei clienti, distribuire ransomware sui computer dei clienti e rivelare dettagli sui sistemi di GMO. Il ransomware è un software dannoso progettato per rendere inutilizzabili file o dispositivi, solitamente insieme a una richiesta di pagamento.
Era stata fissata alle 12:00 del 27 ottobre la scadenza per pubblicare le informazioni dei clienti e avviare l'attacco ransomware. Alle 13:55, ora del Giappone, di quel giorno non era stata confermata alcuna distribuzione di ransomware. Gli aggressori hanno tuttavia pubblicato materiale da loro descritto come informazioni personali di un cliente, secondo quanto riportato da ITmedia NEWS, anche se GMO lo stava ancora verificando. L'azienda ha dichiarato che il sito web degli aggressori raccoglieva informazioni sui visitatori e ha esortato le persone a non aprirlo, condividerne i link o ripubblicarne i contenuti. Il domain e i mirror sites sono stati disattivati intorno alle 4:00, ora del Giappone, del 28 ottobre, e GMO ha dichiarato che sarebbe intervenuta contro eventuali sostituti. A chiunque avesse visitato il sito è stato consigliato di eseguire una scansione antivirus completa.
Secondo ITmedia NEWS, gli aggressori hanno inoltre sostenuto che un unico administrator account fosse condiviso tra tutti i server, che i drive dei PC dei clienti fossero visibili per impostazione predefinita durante le connessioni e che una falla del servizio consentisse di accedere ai computer personali dei clienti. GMO non aveva confermato queste affermazioni. Il responsabile del gruppo ha ammesso separatamente che white-hat hackers interni, specialisti della sicurezza autorizzati a individuare vulnerabilità, avevano avvisato in precedenza il team del servizio e ha affermato che la risposta non era stata sufficientemente rapida o approfondita. Entro il 26 ottobre, i PC dei clienti erano stati raccolti per essere analizzati. Tra i dispositivi esaminati entro le 11:59, ora del Giappone, del 27 ottobre, gli investigatori non avevano trovato malware, incluso ransomware, ma i test erano ancora in corso e non dimostravano che ogni dispositivo fosse sicuro.
Il 28 ottobre GMO ha avviato il programma GMO Cybercrime Bounty, offrendo complessivamente fino a 1 milione di dollari per informazioni che portino a un arresto o a un international wanted notice. Le segnalazioni possono essere inviate in forma anonima in giapponese, inglese o cinese. Il programma terminerà quando si verificherà un arresto o verrà emesso un international wanted notice, oppure il 27 ottobre 2027, a seconda di quale evento si verifichi per primo. Un singolo informatore idoneo potrebbe ricevere l'intero importo, oppure il fondo potrebbe essere suddiviso in base alla valutazione di GMO sul contributo fornito da ciascuna segnalazione. Prima del pagamento è richiesta la verifica dell'identità e non verrà corrisposta alcuna ricompensa se nessuna segnalazione risulterà idonea.
Il programma cerca prove che colleghino persone, server, domain, indirizzi IP, account online o indirizzi di criptovalute all'intrusione, all'estorsione o al trasferimento di denaro. Accuse non supportate, supposizioni e informazioni pubbliche ripubblicate generalmente non sono considerate idonee. Non possono partecipare le persone coinvolte nel reato, chiunque abbia ottenuto informazioni illegalmente, anche acquistando dati trapelati, e i dipendenti di GMO. Agli informatori viene esplicitamente richiesto di non accedere a sistemi senza autorizzazione, di non contattare o pagare gli aggressori e di non inviare credenziali, informazioni trapelate o malware. Le informazioni pertinenti possono essere condivise con le autorità in Giappone e all'estero, mentre le prove e le comunicazioni già in possesso di GMO sono state consegnate alla polizia. Le comunicazioni autentiche proverranno esclusivamente da un indirizzo che termina con @cybercrimebounty.gmo e agli informatori non verranno richiesti password, codici di autenticazione o commissioni.
GMO ha consigliato ai clienti di cambiare le password di trading e del software di trading utilizzando un dispositivo diverso, chiudere ogni sessione attiva, controllare i saldi e la cronologia delle operazioni e segnalare prima di tutto al proprio broker qualsiasi attività sconosciuta. Ove disponibile, i clienti dovrebbero attivare la two-factor authentication, che richiede una seconda conferma oltre alla password. Dovrebbero inoltre sostituire le password riutilizzate, eseguire scansioni sui dispositivi collegati, creare backup ed evitare messaggi, link o file che dichiarano di provenire dagli aggressori. Le offerte di recuperare le perdite in cambio di un pagamento devono essere considerate fraudolente.
A ogni utente attuale spettano 5.000 yen. GMO afferma inoltre che coprirà le perdite effettive e le commissioni derivanti dalle operazioni che confermerà essere state non autorizzate e causate dal breach. Ai clienti le cui informazioni risulteranno effettivamente pubblicate spettano da 10.000 a 25.000 yen per ciascuna categoria di informazioni esposte. Al 28 ottobre, l'azienda non aveva stabilito quanti clienti avrebbero ricevuto pagamenti, quante informazioni fossero state pubblicate o quali operazioni fossero idonee. Non aveva individuato conseguenze per gli altri suoi servizi.
I sistemi coinvolti nel breach non verranno riavviati nella loro forma attuale. Ai clienti che desiderano un altro desktop Windows verrà offerto, previo consenso, il trasferimento gratuito per sei mesi a un servizio separato, con ulteriori dettagli previsti entro il 30 ottobre. Per le organizzazioni che, dopo incidenti come questo, stanno rivalutando i sistemi remoti e la gestione delle credenziali, AEU-I fornisce servizi IT, infrastrutture e consulenza incentrati innanzitutto sulla sicurezza.